Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO
zwischen
Kreis Pinneberg Fachdienst Straßenbau und Verkehrssicherheit Ernst-Abbe-Straße 9
25337 Elmshorn
– nachfolgend „Auftraggeber“ –
und
[Auftragnehmer] [Anschrift]
– nachfolgend „Auftragnehmer“ –
§ 1 Gegenstand und Dauer
Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers personenbezogene Daten im Rahmen der Aufbereitung von Falldatensätzen aus der Geschwindigkeitsüberwachung.
Gegenstand der Verarbeitung sind insbesondere die Übernahme, technische Prüfung, fachliche Aufbereitung und elektronische Übermittlung der Falldatensätze an den Auftraggeber.
Die Verarbeitung beginnt mit Beginn des Hauptvertrages und endet mit dessen Beendigung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zur Erfüllung der im Leistungsverzeichnis beschriebenen Leistungen.
Der Auftragnehmer darf die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers verarbeiten.
Eine Nutzung der Daten zu eigenen Zwecken, insbesondere für Werbung, eigene Auswertungen, Produktentwicklung, statistische Zwecke oder das Training von KI-/Machine-Learning-Systemen, ist ausgeschlossen.
§ 3 Art der personenbezogenen Daten und betroffene Personen
Verarbeitet werden insbesondere:
- Mess- und Falldaten,
- Datum, Uhrzeit, Messort und Fahrtrichtung,
- Geschwindigkeits- und technische Messdaten,
- amtliche Kennzeichen und Fahrzeugdaten,
- Foto- und gegebenenfalls Videodaten,
- gegebenenfalls personenbezogene Daten von Fahrern, Fahrzeughaltern und sonstigen abgebildeten Personen.
§ 4 Verantwortlichkeit und Weisungen
Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO.
Der Auftragnehmer verarbeitet die Daten ausschließlich nach Weisung des Auftraggebers und entscheidet nicht über Zweck und wesentliche Mittel der Verarbeitung.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung seiner Auffassung nach gegen datenschutzrechtliche Vorschriften verstößt.
§ 5 Vertraulichkeit und Datensicherheit
Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit.
Er trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere zum Schutz vor unbefugtem Zugriff, Verlust, Veränderung und Offenlegung der Daten.
Die Übermittlung der Falldatensätze an den Auftraggeber erfolgt über eine gegen unbefugten Zugriff und Manipulation gesicherte elektronische Schnittstelle.
Die konkreten technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 1 (TOM).
§ 6 Unterauftragnehmer
Der Einsatz weiterer Auftragsverarbeiter bedarf der vorherigen Genehmigung des Auftraggebers.
Der Auftragnehmer verpflichtet genehmigte Unterauftragnehmer entsprechend den Anforderungen dieser Vereinbarung und bleibt für deren datenschutzkonforme Verarbeitung verantwortlich.
Eine Verarbeitung außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums ist nur nach vorheriger Zustimmung des Auftraggebers und unter Einhaltung der Art. 44 ff. DSGVO zulässig.
§ 7 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei:
- Datenschutzverletzungen,
- Anfragen betroffener Personen,
- der Sicherstellung der Datensicherheit,
- Datenschutz-Folgenabschätzungen,
- erforderlichen Nachweisen gegenüber der Datenschutzaufsicht.
Datenschutzverletzungen sind dem Auftraggeber unverzüglich nach Bekanntwerden mitzuteilen.
§ 8 Löschung und Rückgabe
Nach Beendigung des Auftrags hat der Auftragnehmer sämtliche personenbezogenen Daten nach Weisung des Auftraggebers zurückzugeben oder zu löschen, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
Die Löschung umfasst auch vorhandene Arbeitskopien. Der Auftragnehmer bestätigt die Löschung auf Verlangen des Auftraggebers.
§ 9 Nachweis und Kontrolle
Der Auftragnehmer stellt dem Auftraggeber die zur Überprüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen und Nachweise zur Verfügung.
Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Verpflichtungen im erforderlichen Umfang zu kontrollieren oder durch geeignete Dritte kontrollieren zu lassen.
§ 10 Besondere Festlegung zur Falldatenübermittlung
Der Auftragnehmer übermittelt die ausgewerteten Falldatensätze ausschließlich über die vereinbarte WiNOWiG-Schnittstelle an den Auftraggeber. Die Daten sind -entsprechend der Festlegungen im Leistungsverzeichnis- in dem für die weitere Verarbeitung geeigneten Format zu übermitteln.
Eine eigenständige Abfrage von Halterdaten beim Kraftfahrt-Bundesamt durch den Auftragnehmer ist nicht zulässig.
§ 11 Schlussbestimmungen
Diese Vereinbarung ist Bestandteil des Hauptvertrages.
Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen vertraglichen Regelungen gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieser Vereinbarung vor.
Änderungen und Ergänzungen bedürfen der Textform.
Für den Auftraggeber: Für den Auftragnehmer:
______________________ ________________________
Ort, Datum Ort, Datum
______________________ ______________________
Name, Funktion Name, Funktion
_______________________ _______________________
Unterschrift Unterschrift
Anlage 1 – Technische und organisatorische Maßnahmen
Der Auftragnehmer gewährleistet mindestens:
- Zugriff auf Falldaten ausschließlich für hierzu berechtigte Personen,
- individuelle Benutzerkonten und angemessene Authentifizierung,
- rollenbezogene Zugriffsrechte,
- Verschlüsselung der Datenübertragung,
- Schutz der gespeicherten Daten vor unbefugtem Zugriff,
- Protokollierung sicherheitsrelevanter Zugriffe und Verarbeitungsvorgänge,
- regelmäßige Datensicherung,
- Schutz vor Schadsoftware,
- Verfahren zur Erkennung und Behandlung von Datenschutzverletzungen,
- geregelte Löschung nicht mehr benötigter Daten,
- Trennung der Daten des Auftraggebers von Daten anderer Kunden,
- geeignete Maßnahmen zur Sicherstellung der Verfügbarkeit und Wiederherstellbarkeit.
Der Auftragnehmer legt dem Auftraggeber auf Verlangen eine aktuelle Beschreibung seiner technischen und organisatorischen Maßnahmen vor.